Qu'est-ce que la notification des pratiques de confidentialité (NPP) dans le cadre de l'HIPAA ?

Dans le contexte de l'HIPAA, une notification des pratiques de confidentialité (NPP) est un document qui explique aux patients, aux employés et aux clients comment les informations de santé pertinentes seront collectées, traitées, stockées et utilisées. Il décrit également de manière explicite les droits des individus en matière de confidentialité de leurs informations de santé protégées (PHI). Contrairement à de nombreux autres aspects de l'HIPAA, le NPP dans le domaine de la santé est une représentation très visible des intentions et de l'objectif de la loi, puisqu'il s'agit d'un document physique qui doit effectivement passer entre les mains de tous les consommateurs des services d'une entité couverte et être signé par eux.

La notification des pratiques de confidentialité (NPP) est liée à la règle de confidentialité de l'HIPAA. Cette règle confère aux patients des droits importants en ce qui concerne leurs PHI et identifie l'utilisation et la divulgation appropriées des PHI pour les soins aux patients et à d'autres fins. Les rédacteurs initiaux de l'HIPAA craignaient que le consommateur moyen de soins de santé ne connaisse pas ses droits en tant que patient. Le NPP a donc été créé "pour attirer l'attention des individus sur les questions et les préoccupations relatives à la protection de la vie privée, et pour les inciter à discuter avec leurs plans de santé et leurs prestataires de soins de santé, et à exercer leurs droits". La législation HIPAA contribue à garantir que les patients entrent dans une relation commerciale avec leur prestataire en disposant de toutes les informations dont ils ont besoin pour être des patients informés, c'est pourquoi l'HIPAA exige que chaque prestataire fournisse proactivement un NPP à chaque consommateur. Un NPP standard consiste en une notice facilement compréhensible qui explique comment une entité couverte par l'HIPAA peut utiliser et divulguer des PHI, ainsi qu'une vue d'ensemble des droits d'un individu, des obligations légales d'une entité couverte lors du stockage ou de l'utilisation de PHI, et de toute autre politique de confidentialité.

Quel est le contenu d'un avis sur les pratiques en matière de protection de la vie privée (NPP) de l'HIPAA ?

L'avis sur les pratiques en matière de protection de la vie privée permet d'informer un nouveau patient sur la manière dont le prestataire de soins gérera et protégera ses données. Elle décrit également les droits du patient en matière de suivi et de suppression éventuelle de ces données. Un NPP approuvé par l'HIPAA doit comprendre quelques éléments clés pour être considéré comme conforme. Les entités couvertes sont tenues de fournir un avis, dans un langage simple, qui décrit

• Comment l'entité couverte peut utiliser et divulguer des informations de santé protégées concernant un individu. Il existe différentes façons d'exprimer ces règles. L'élément essentiel est de s'assurer que le lecteur comprend que le fournisseur n'a pas carte blanche sur la manière dont il peut utiliser ses informations. Si les entreprises gèrent mal les informations sur la santé publique, elles s'exposent à des sanctions importantes).

• Les droits du patient en ce qui concerne les informations et la manière dont il peut exercer ces droits. Il doit également indiquer comment l'individu peut se plaindre auprès de l'entité couverte. Certains de ces droits sont plus évidents que d'autres. Par exemple, tous les patients ont le droit de recevoir une copie papier des PHI détenues par le fournisseur. D'autre part, certains sont plus obscurs. Par exemple, les patients sont autorisés à demander une liste de toutes les autres entités avec lesquelles leurs PHI ont été partagées.

• Les obligations légales de l'entité couverte en ce qui concerne les informations, y compris une déclaration selon laquelle l'entité couverte est tenue par la loi de préserver la confidentialité des informations de santé protégées. Ces obligations comprennent notamment l'obligation de protéger les ISP contre toute utilisation non autorisée, ainsi que la responsabilité de vous informer rapidement en cas de violation de vos informations.

• La personne à contacter pour obtenir de plus amples informations sur les politiques de protection de la vie privée de l'entité concernée. Ce contact est une information essentielle. D'un fournisseur à l'autre, les sections précédentes sont probablement presque identiques, mais les informations de contact sont toujours uniques

Une entité couverte doit également inclure une date d'entrée en vigueur dans son PNP. Si elle met à jour ses pratiques en matière de protection de la vie privée, l'entreprise doit modifier cette date et redistribuer son PNP. Ces exigences expliquent pourquoi il semble parfois que chaque visite chez le médecin implique la lecture et la signature de dizaines de pages d'informations. Les fournisseurs apportent souvent de légères modifications à leur déclaration de pratiques en matière de protection de la vie privée pour tenir compte des changements apportés à la réglementation ou à leur environnement informatique, de sorte qu'ils doivent fournir la déclaration actuelle à tous ceux qui ne l'ont pas encore lue et signée.

C'est pourquoi le ministère de la santé et des services sociaux publie sur son site web des versions types qui peuvent être utilisées par la plupart des fournisseurs avec un minimum de modifications.

Quels sont les droits énoncés dans un avis de confidentialité de l'HIPAA ?

Pour aider les patients à défendre leurs données, le NPP doit énoncer les droits prévus par l'HIPAA, notamment les suivants :

• Le droit de demander des restrictions sur certaines utilisations et divulgations de PHI.

• Le droit de recevoir des communications confidentielles de PHI, dans la mesure où la loi le permet.

• Le droit d'inspecter et de copier les PHI.

• Le droit de modifier les RPS, dans les limites autorisées par la loi.

• Le droit de recevoir un compte rendu des divulgations de RPS.

• Le droit d'une personne d'obtenir une copie papier de la notification, sur demande.

• Le droit de déposer une plainte auprès de l'entité concernée et du secrétaire à la santé et aux services sociaux si une personne estime que ses droits en matière de protection de la vie privée ont été violés.

En résumé, les prestataires de soins de santé ont le devoir et l'obligation d'être transparents quant aux pratiques qu'ils s'engagent à mettre en œuvre pour protéger les informations personnelles. Ils ont également la responsabilité de partager ces informations avec le patient lui-même. Toutefois, les entreprises ne sont pas tenues de répondre à toutes les demandes d'information. Par exemple, tout patient peut demander une correction de ses antécédents médicaux, mais un prestataire a le droit de refuser de le faire, bien qu'il doive fournir une réponse écrite dans un délai de 30 jours.

Quand le NPP doit-il être fourni à un patient ?

Jusqu'à présent, nous avons parlé des éléments qui doivent figurer dans un NPP et de l'obligation pour les entités couvertes d'en produire et d'en distribuer un. L'HIPAA étant une réglementation gouvernementale, il existe des règles complexes concernant le moment et la manière dont les entreprises doivent fournir un avis de confidentialité :

L'avis sur les pratiques en matière de protection de la vie privée doit être fourni dans les circonstances suivantes :

• Les entités couvertes doivent fournir une copie de leur NPP à toute personne qui en fait la demande.

• Elles doivent également afficher de manière visible la NPP dans leur(s) lieu(x) physique(s) de manière à ce que toute personne entrant dans l'espace y ait un accès clair et dégagé.

• Si le site web d'une entité fournit des informations sur les services et les avantages offerts aux clients, un PPN doit également être affiché sur le site web. Cette exigence reflète les exigences en matière de publicité pour les médicaments délivrés sur ordonnance, où l'on n'entend la longue liste des effets secondaires possibles que lorsque l'annonceur mentionne également les avantages du médicament.

• La distribution d'un PNP est soumise à d'autres exigences spécifiques aux prestataires. Par exemple, un prestataire (comme un médecin ou un hôpital) doit le fournir lors de la première visite du patient, les salles d'urgence doivent le délivrer à la première occasion possible, et les plans de santé doivent fournir le PNP lors de l'inscription ainsi que tous les trois ans par la suite.

Comment PubNub peut aider avec HIPAA et les NPPs ?

En tant que fournisseur de technologie certifié conforme à l'HIPAA depuis 2015, PubNub a une riche histoire d'aider les fournisseurs à opérer avec la confiance que leurs opérations sont conformes. Des centaines d'applications de santé et de technologie de la santé ont été construites et déployées en utilisant les API et le réseau PubNub, toutes avec la conformité HIPAA implicitement fournie.

Il est essentiel de veiller à ce que les applications technologiques respectent les engagements et les obligations énoncés dans le NPP afin d'éviter toute violation technique de la règle de confidentialité de l'HIPAA. Nous vous encourageons à en apprendre davantage sur les solutions déjà mises en place par les organisations et à consulter notre E-Book Building a HIPAA-Compliant App (Construire une application conforme à l'HIPAA).

Comment PubNub peut-il vous aider ?

Cet article a été publié à l'origine sur PubNub.com

Notre plateforme aide les développeurs à construire, livrer et gérer l'interactivité en temps réel pour les applications web, les applications mobiles et les appareils IoT.

La base de notre plateforme est le réseau de messagerie en temps réel le plus grand et le plus évolutif de l'industrie. Avec plus de 15 points de présence dans le monde, 800 millions d'utilisateurs actifs mensuels et une fiabilité de 99,999 %, vous n'aurez jamais à vous soucier des pannes, des limites de concurrence ou des problèmes de latence causés par les pics de trafic.

Découvrez PubNub

Découvrez le Live Tour pour comprendre les concepts essentiels de chaque application alimentée par PubNub en moins de 5 minutes.

S'installer

Créez un compte PubNub pour un accès immédiat et gratuit aux clés PubNub.

Commencer

La documentation PubNub vous permettra de démarrer, quel que soit votre cas d'utilisation ou votre SDK.